Windows VPN Group24 kontra MODP3072: liema grupp għandek bżonn?
In-numri tal-gruppi huma entrati tar-reġistru, mhux klassifika skont id-daqs. Qabbad l-isem mal-parametri tiegħu, imbagħad iċċekkja liema gruppi jista’ jesprimi l-parametru tal-Windows.
Group24 u MODP3072 huma t-tnejn ismijiet ta’ grupp ta’ skambju ta’ ċwievet, u mhumiex l-istess grupp b’saħħiet differenti. Group24 jgħaqqad modulus ta’ 2048 bit ma’ sottogrupp ta’ ordni prim 256 bit, filwaqt li MODP3072 huwa l-grupp 15 ta’ 3072 bit. Li tagħżel wieħed meta kien speċifikat l-ieħor ibiddel ir-rekwiżit minflok ma jissodisfah. Erba’ affarijiet jiddeċiedu r-riżultat, u ħadd minnhom ma jesiġi li tafda isem li jidher simili.
In-numru huwa entrata tar-reġistru, mhux grad
IANA tinnumera l-gruppi ta’ skambju ta’ ċwievet fl-ordni li ġew reġistrati, għalhekk numru akbar ifisser entrata tar-reġistru aktar tard u mhux grupp aktar b’saħħtu. Il-grupp 14 huwa MODP ta’ 2048 bit, il-grupp 15 huwa MODP ta’ 3072 bit, u l-grupp 24 jgħaqqad modulus ta’ 2048 bit ma’ sottogrupp ta’ ordni prim 256 bit. Li taqra l-identifikatur bħala klassifika tad-daqs tipproduċi eżattament l-iżball li 24 jitqies bħala 15 akbar. L-isem huwa tikketta, u l-parametri warajh huma dak li n-negozjat juża fil-fatt.
| IANA group | What the group is | Expressible as Windows DHGroup | What a mismatch looks like |
|---|---|---|---|
| 14 | A 2048-bit finite-field modulus | Group14 | The gateway reports modp2048, which is the same group in other vocabulary |
| 15 | A 3072-bit finite-field modulus | Not in the documented enumeration | You cannot request it from this parameter; a gateway reporting modp3072 was configured elsewhere |
| 24 | A 2048-bit modulus with a 256-bit prime-order subgroup | Group24 | The gateway reports modp2048s256, so the two names differ while describing one group |
| 20 | The NIST P-384 curve | ECP384 | The gateway reports ecp384, and that 384 counts a field size rather than a modulus |
Il-gruppi tal-kurva ellittika jżidu l-konfużjoni tagħhom stess, għax l-għadd tal-bits ta’ kurva jiddeskrivi kamp u mhux modulus. Li tqabbel P-384 ma’ grupp ta’ kamp finit ta’ 3072 bit bħallikieku n-numri qed ikejlu ħaġa waħda ma tgħidlek xejn.
X’jista’ jesprimi l-għadd tal-Windows
Ir-reġistru IKE u l-parametru tal-klijent tal-Windows huma interfaċċi differenti b’vokabularji differenti. Ir-referenza tal-cmdlet VpnClient ta’ Microsoft tiddokumenta li DHGroup jaċċetta None, Group1, Group2, Group14, ECP256, ECP384 u Group24. Group15 ma jidhirx f’dak is-sett iddokumentat, li jfisser li l-parametru ma jistax jesprimi l-grupp li ntalab minnek. Dan huwa limitazzjoni tal-interfaċċa u mhux dikjarazzjoni dwar liema gruppi jappoġġja l-protokoll.
Li tipprovdi ortografija mhux elenkata, numru sħiħ jew string ta’ politika kopjat ma jwessax l-għadd. Iċċekkja r-referenza għall-verżjoni tal-Windows li fil-fatt tuża, u jekk il-grupp mhux disponibbli, ir-riżultat onest huwa politika approvata oħra jew klijent ieħor.
Żomm DHGroup, PfsGroup u t-tip taċ-ċertifikat separati
DHGroup jagħżel il-grupp għall-iskambju ta’ ċwievet IKE, u PfsGroup jirregola s-segretezza ’l quddiem għall-assoċjazzjonijiet tat-traffiku protett li jiġu wara. Huma oqsma separati, għalhekk li tistabbilixxi wieħed sew ma jgħid xejn dwar l-ieħor. Iċ-ċavetta RSA jew ECDSA taċ-ċertifikat hija t-tielet proprjetà, u tappartjeni għall-awtentikazzjoni u mhux għall-iskambju efemeru. Profil wieħed jista’ għalhekk ikun korrett f’saff u żbaljat f’ieħor, u konnessjoni b’suċċess ma tiżvelax liema.
Rapporti li tip partikolari ta’ ċertifikat sfurza grupp ECP fuq kull konnessjoni IKEv2 jiddeskrivu kombinazzjoni waħda ta’ settings. Ma jistabbilixxux regola tal-protokoll, u li tittrattahom bħala regola hija l-mod kif stramberija lokali ssir politika.
Aqra l-grupp li nnegozja l-gateway
Il-modulu VpnClient joffri Set-VpnConnectionIPsecConfiguration bħala interfaċċa tal-kitba biss, u m’hemmx Get- cmdlet li jaqra dik il-politika lura fuq il-host. Irreġistra l-valuri DHGroup u PfsGroup li applikajt, imbagħad aqra fuq il-gateway x’uża fil-fatt l-iskambju. Mexxi l-kmandi wara konnessjoni ġdida u mhux wara qgħad mill-ġdid li uża mill-ġdid assoċjazzjoni qadima.
swanctl --list-sas
ipsec statusallProfil li jirrapporta Group24 filwaqt li l-gateway jirrapporta modp2048s256 huwa konsistenti, għax huma l-istess grupp f’żewġ vokabularji. Gateway li jirrapporta modp3072 filwaqt li l-profil jgħid Group24 mhuwiex konsistenti, u tarf wieħed mhux qed iħaddem dak li temmen. Il-linja taċ-ċertifikat twieġeb il-mistoqsija separata tal-awtentikazzjoni, u l-qasam PFS iwieġeb it-tielet waħda. Qabbel it-tlieta qabel ma tikteb nota ta’ konformità.
Irreġistra l-grupp mitlub, il-grupp innegozjat u l-interfaċċa li aċċettat jew ċaħdet is-setting. Dak it-tliet huwa dak li jeħtieġ reviżur, u xejn minnu ma jista’ jiġi dedott mill-isem tal-politika.